本周分享知识星球里面的cmseasy逻辑漏洞，里面涉及了抓包教程比较简单，适合新手练习。这次跟大家分享其中的思路。...本文作者：付聪（MS08067安全实验室核心） CMSEASY逻辑漏洞 一 登录任意账户： ? 二 点击任意产品: ? 三 点击任意一个产品，前提是有余量： ?
02 环境准备 CmsEasy官网：http://www.cmseasy.cn 网站源码版本：CmsEasy_v5.7_UTF8-0208 程序源码下载： http://ftp.cmseasy.cn/CmsEasy5....x/CmsEasy_5.7_UTF-8_20180208.zip 默认后台： http://127.0.0.1/index.php?
先下载最新版：http://ftp.cmseasy.cn/CmsEasy5.x/CmsEasy_5.5_UTF-8_20150318.zip。...测试： 向http://10.211.55.3/cmseasy/index.php?...} req = requests.post("http://10.211.55.3/cmseasy
模拟环境没啥意思，去网上找了个别人的代码审计文章,找到了一个雨牛挖的cmseasy的str_replace绕过注入的真实案例 2014年的漏洞，cmseasy相关版本网上已经找不到了,我改写了个cmseasy...,方便测试这个replace注入: cmseasy环境下载:链接: https://pan.baidu.com/s/1KgHaPxuB3UI36fyx4IbW9w 提取码: 7aj3 存在问题的目录...默认echo $sql;是被注释的，解除注释方便查看sql语句： 因为str_replace的缘故,可以被绕过进行sql注入: 去除注释符,构造poc: http://localhost/CmsEasy
使用360webscan的一大cms就是cmseasy，我们就借用cmseasy中的360webscan来说明。 ...来测试一下看看，在本地搭建一个cmseasy，最新版20140118，提交一个含有敏感字符union select的查询，被360拦截了： ? ...我们再随便试一个不知什么版本的cmseasy，都没有拦截： ?
Tip：一开始使用PhpStudy搭建报错，后使用WAMP成功搭建 漏洞详情：CmsEasy最新版5.5_UTF-8_20140802多处SQL注入 漏洞复现 先复现一下该漏洞。...并且报告中不能出现管理员账号密码，只需要证明可以执行SQL语句即可 因此需要修改Payload，输出CmsEasy的MD5值： xajax=LiveMessage&xajaxargs[0][name]=...1',(SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),(select concat(0x23,md5('CmsEasy')) from cmseasy_user...')) from cmseasy_user where groupid=2 limit 1))a from information_schema.tables group by a)b),'','','...')) from cmseasy_user where groupid=2 limit 1))a from information_schema.tables group by a)b),'','','
archive&act=orders&aid[typeid`%3D1%20and%20ord(mid((select/**/concat(username,0x3a,password)%20from%20cmseasy_user...\\x00)" at ARGS_NAMES:aid[typeid`=1 and ord(mid((select/**/concat(username,0x3a,password) from cmseasy_user.../* found within ARGS_NAMES:aid[typeid`=1 and ord(mid((select/**/concat(username,0x3a,password) from cmseasy_user...),1,1))<49#]: aid[typeid`=1 and ord(mid((select/**/concat(username,0x3a,password) from cmseasy_user),
archive&act=orders&aid[typeid`%3D1%20and%20ord(mid((select/**/concat(username,0x3a,password)%20from%20cmseasy_user...\\x00)” at ARGS_NAMES:aid[typeid`=1 and ord(mid((select/**/concat(username,0x3a,password) from cmseasy_user.../* found within ARGS_NAMES:aid[typeid`=1 and ord(mid((select/**/concat(username,0x3a,password) from cmseasy_user...),1,1))<49#]: aid[typeid`=1 and ord(mid((select/**/concat(username,0x3a,password) from cmseasy_user),
环境 windows 11 phpstudy CmsEasy 7.7.4 代码分析 漏洞点：文件lib/admin/database_admin.php中的函数dorestore_action()方法。...sqlquery) return; sqlquery = str_replace("\r", "", sqlquery = str_replace("cmseasy_
这里我以easycms的镜像为基础镜像： 下载地址： https://github.com/Medicean/VulApps/tree/master/c/cmseasy/1 这个是一个不错的开源项目,...docker pull medicean/vulapps:c_cmseasy_1 我们都知道 Git 的tag功能是为了将代码的某个状态打上一个戳，通过tag我们可以很轻易的找到对应的提交版本。...以这个为例，这个是名称vulapps，标签是cmseasy_1 重命名的语句是：docker tag old-image[:old-tag] new-image[:new-tag] 我们运行： docker...tag vulapps:c_cmseasy_1 pentest:v1就可以了。...要做其他的cms靶场，我们可以cmseasy的源码删除掉，然后再把我们的另一台cms拷贝进去。 我这里用maccms8，最近在看这个cms，不为什么，看到有人发审计的分析觉得有趣，就分析下复现了。
CmsEasy 开源内容管理系统（LAMP） 新版内容管理系统，【CMS-easy开源软件】CmsEasy（cmseasy.cn）是一个源自中国本土的100%开源免费的CMS，基于PHP+MySQL开发
参考漏洞：cmseasy 绕过补丁 SQL 注入一枚把替换成空，但是通过又全局有转义单引号转义为,然后替换为空格，留下,注释掉, 破坏原本的 SQL, 用户提交一个全局转义成, 然后这过滤函数又会把替换成空...参考漏洞：Phpyun 注入漏洞二 正则验证错误参考漏洞：CmsEasy 最新版本无限制 SQL 注射 13.file 注入 全局只对 GET POST COOKIE 转义，遗漏了 files，，且不受...参考漏洞：云人才系统 SQL 注入，绕过 WAF参考漏洞：Cmseasy SQL 注射漏洞之三21.striplashes在全局 addslashes 后，在后面的文件中又 stripslashes 去掉了转义符
参考漏洞：cmseasy 绕过补丁 SQL 注入一枚 wooyun-2014-053198.html 把 ' 替换成空，但是通过又全局有转义 ?...参考漏洞：Phpyun 注入漏洞二 wooyun-2014-068853.html 正则验证错误 参考漏洞：CmsEasy 最新版本无限制 SQL 注射 wooyun-2014-062957.html...参考漏洞：云人才系统 SQL 注入，绕过 WAF wooyun-2014-060166.html 参考漏洞：Cmseasy SQL 注射漏洞之三 wooyun-2014-066221.html 21.striplashes
实例分析 本次实例分析，我们选取的是 CmsEasy 5.5 版本，漏洞入口文件为 /lib/tool/form.php ，我们可以看到下图第7行处引用了preg_replace ，且使用了 /e 模式
act=reinstall&domain=www.test.com下载漏洞修复插件360webscan.zip 多次下载解压失败， 无奈，跑到cmseasy下载最新版cms，解压获取 webscan360
这里我们提供一个可用 payload ：\S*=${phpinfo()} ，详细分析请参考我们前几天发表的文章： 深入研究preg_replace与代码执行 实例分析 本次实例分析，我们选取的是 CmsEasy
/admin/readme.gif|cmseasy|3ca64935f89925da7e026d65a85852f7 /template/admin/skin/images/bg.jpg|cmseasy.../celive/admin/live/loading.gif|cmseasy|11188b5f7d29016c1b75601d16fc5710 /celive/js/images/btn.gif|cmseasy.../celive/templates/default/skin/admin/bg.gif|cmseasy|5a32a9a43815d203842b68e7d14e9303 /favicon.ico|cmseasy.../readme.gif|cmseasy|3ca64935f89925da7e026d65a85852f7 /images/admin/readme.gif|cmseasy|f41f58d4ba82fdb6321a840034c8a0fd.../images/logo_wap.png|cmseasy|b9281e6bd84987b3bcb5684d89c313cc /images/logo_wap.png|cmseasy|ea7df0f2227edaf63758210bea2041a1
"seacms search.php 参数jq代码执行", "安脉学生管理系统10处SQL注入", "cmseasy
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
